SecTepe Endpoint– EDR, das Sie selbst betreiben
SecTepe Endpoint sieht, was auf Ihren Rechnern und Servern passiert. Es meldet verdächtiges Verhalten und hilft beim Eingreifen: Gerät isolieren, Prozess beenden, Datei in Quarantäne legen. Jede dieser Aktionen braucht eine Freigabe durch eine zweite Person.
Demo anfragenAuf einen Blick
- Wazuh-Agent, Sysmon, Tetragon (eBPF), auditd
- Ransomware-Guard mit Rollback-Snapshots (opt-in)
- On-Access-Scanner mit CTI-Reputation (opt-in)
- Windows, Linux, Android und iOS
- Reaktion nur nach Vier-Augen-Freigabe
- Telemetrie bleibt in Ihrer Umgebung
Was SecTepe Endpoint ist
SecTepe Endpoint ist die EDR-Lösung von SecTepe.Comm. Es ist kein neuer Agent, sondern ein Bundle. Es installiert bewährte Open-Source-Werkzeuge auf jedem Gerät und richtet sie so ein, dass sie zusammen Telemetrie liefern und Reaktionen ausführen können.
Die Daten gehen an den Wazuh-Manager in Ihrer SecTepe.Comm-Umgebung. Dort prüfen Regeln jedes Ereignis. Ernste Treffer erscheinen in SecTepe.Core als Detection, dort bearbeiten Analysten sie. Die Regeln ordnen Treffer Techniken aus MITRE ATT&CK zu.
Wie EDR grundsätzlich funktioniert, erklärt unser Glossar zuEndpoint Detection & Response.
Die Bausteine des Agent-Bundles
Die ersten vier Bausteine bilden die Grundausstattung. Scanner und Ransomware-Guard schalten Sie pro Gerät dazu.
Wazuh-Agent
Transportiert die Ereignisse zum Manager. Dazu kommen File Integrity Monitoring, Konfigurationsprüfung und die Ausführung von Reaktionen.
Sysmon (Windows)
Meldet Prozesse, Datei- und Registry-Änderungen, Netzverbindungen und DNS-Anfragen. PowerShell-Skripte werden mitprotokolliert.
Tetragon mit eBPF (Linux)
Sieht Programmstarts, Zugriffe auf sensible Dateien, Rechteausweitung, Kernel-Module und ausgehende Verbindungen. Braucht Kernel 5.4 oder neuer.
auditd (Linux)
Hält Programmaufrufe und Verbindungen als Audit-Spur fest. Die Regeln sind gesperrt und lassen sich erst nach einem Neustart ändern.
On-Access-Scanner (opt-in)
Fragt den Hash einer Datei bei SecTepe.Core.CTI ab und prüft sie mit ClamAV und YARA. Unter Linux vor der Ausführung, unter Windows direkt nach dem Schreiben.
Ransomware-Guard (opt-in)
Erkennt Verschlüsselung an Köderdateien und am Schreibmuster, beendet den Prozess und sichert vorher einen Snapshot.
Weitere optionale Module: URL-Guard mit Domain-Sperrliste aus der CTI, USB-Gerätekontrolle, App-Kontrolle mit AppLocker bzw. AppArmor, Tamper-Guard gegen Manipulation der Sensoren und eine signierte Flotten-Policy aus SecTepe.Core. Unter Windows lässt sich Controlled Folder Access zuschalten (Vorgabe: Audit). Unter Linux kann Tetragon gezielt im Kernel blockieren; ausgeliefert wird dafür eine einzige, eng gefasste Regel, standardmäßig aus.
Ransomware-Schutz: Köder, Entropie, Rollback
Ransomwareverschlüsselt in kurzer Zeit viele Dateien. Genau darauf achtet der Ransomware-Guard. Er arbeitet mit zwei Signalen:
- Kanarien-Dateien: Der Guard legt versteckte Köderdokumente an. Jeder Schreibzugriff darauf löst sofort aus.
- Massen-Schreib-Heuristik: Er zählt je Prozess, wie viele Dateien in wenigen Sekunden geschrieben werden und wie viele davon verschlüsselt aussehen (hohe Entropie). Auch typische Endungen und Erpressernotizen zählen.
Pro Host wählen Sie den Modus: nur melden, Prozess beenden oder beenden und den Host isolieren. Bei jedem Treffer legt der Guard einen Snapshot an, zusätzlich alle 30 Minuten. Unter Windows nutzt er dafür Schattenkopien (VSS), unter Linux btrfs oder ZFS. Für ext4 und xfs gibt es eine Kopie-Variante, die Sie gesondert einschalten.
Unter Windows stoppt der Guard außerdem Befehle, die Schattenkopien löschen. Die Grenzen nennen wir offen: Unter Windows reagiert der Guard nach dem Schreiben, nicht davor. Ein Prozess mit Administratorrechten kann Schattenkopien trotzdem zerstören. Für Backup- und Sync-Software empfehlen wir, mit dem Modus „nur melden“ zu beginnen.
Unterstützte Plattformen
Alle Geräte landen in derselben Konsole in SecTepe.Core, getrennt nach Mandant.
Windows
Volles Bundle mit Wazuh, Sysmon und PowerShell-Logging. Installation per PowerShell oder als MDM-Job. Der Installer bricht ab, wenn die Prüfsummen der Programme fehlen.
Linux
Debian, Ubuntu, RHEL-Familie und SLES auf x86_64 und aarch64. Ausrollen per Skript oder als deb- bzw. rpm-Paket.
macOS
Ab macOS 13 liefert der Agent bisher nur Prozess-Telemetrie. Prävention und Tamper-Guard fehlen dort noch.
Android und iOS
Ein Sensor in der SecTepe-App erkennt Root, Jailbreak, Hooking und Stalkerware. Geräte werden über das MDM eingeladen. Unter iOS gibt es weder App-Inventar noch Sperren aus der Ferne.
Reagieren mit Vier-Augen-Freigabe
Eine Person fordert die Aktion in SecTepe.Core an, eine zweite gibt sie frei. Danach führt SecTepe.Comm sie aus und meldet das Ergebnis zurück.
- • Isolieren: Der Host verliert das Netz. Manager, Core, DNS und DHCP bleiben erreichbar, auch nach einem Neustart.
- • Prozess beenden: per PID oder Name; Kernprozesse und der Agent sind geschützt.
- • Datei-Quarantäne: Die Datei wird verschoben, nicht gelöscht. In System- und Programmpfaden lehnt das Skript ab.
- • Snapshot-Restore: stellt Dateien zuerst in einen eigenen Ordner wieder her. Nur auf ausdrücklichen Wunsch überschreibt es die Originale.
- • Triage-Collection: sammelt forensische Artefakte über Velociraptor. Der Client ist optional.
Gut zu wissen
- Nach der Einrichtung läuft die Ausführung im Probelauf. So prüfen Sie den ganzen Ablauf, bevor Sie scharf schalten.
- Einzige Ausnahme vom Vier-Augen-Prinzip: Der Ransomware-Guard darf sofort handeln, wenn Sie das pro Host einstellen.
- Auf Mobilgeräten werden Aktionen zu MDM-Befehlen: Unternehmensdaten sperren, Lost Mode, Daten der App löschen. Einen Werksreset gibt es bewusst nicht.
Anbindung an SIEM, Threat Intelligence und SOC
SecTepe Endpoint nutzt denselben Wazuh-Manager wie dasWazuh SIEM von SecTepe.Comm. Endpoint-Alarme stehen damit neben allen anderen Logs. Sie fließen auch in die Korrelation und in die Fallbearbeitung.
Scanner und URL-Guard fragen Hashes und Domains beiSecTepe.Core.CTI ab. Auf Wunsch schickt der Scanner unbekannte Programme nach der Entscheidung an eine Sandbox. Deren Urteil gilt dann beim nächsten Start derselben Datei. Auch das ist opt-in.
Wird aus einem Alarm ein echter Vorfall, unterstützt unserIncident-Response-Team.
Datenhoheit und Managed EDR
Die Agenten melden sich per mTLS am Wazuh-Manager in Ihrer SecTepe.Comm-Umgebung an. Telemetrie geht nicht an einen fremden Cloud-Dienst. Ein Manager kann mehrere Mandanten bedienen, jeder Agent gehört fest zu genau einem.
Eine EDR-Lösung erzeugt Alarme rund um die Uhr. Wenn Sie dafür kein eigenes Team haben, lässt sich SecTepe Endpoint mit unserem Security Operations Centerkombinieren. Das SOC bewertet die Alarme und reagiert in dem Rahmen, den Sie vorher festlegen.
Häufige Fragen zu SecTepe Endpoint
- Was unterscheidet EDR-Software von einem Virenscanner?
- Ein Virenscanner prüft Dateien. Eine EDR-Lösung zeichnet zusätzlich auf, was auf dem Gerät passiert: Prozessstarts, Dateizugriffe, Netzverbindungen. Daraus entstehen Alarme, und von der Konsole aus können Sie reagieren, etwa einen Rechner isolieren. SecTepe Endpoint bringt beides mit. Der On-Access-Scanner ist ein optionaler Baustein im Agent-Bundle.
- Schützt SecTepe Endpoint vor Ransomware?
- Der Ransomware-Guard erkennt typisches Verhalten: Schreibzugriffe auf Köderdateien und viele verschlüsselt wirkende Dateien in kurzer Zeit. Er beendet den Prozess und legt einen Snapshot an, aus dem Sie Dateien zurückholen. Der Guard ist opt-in. Eine Garantie gibt es nicht: Unter Windows reagiert er nach dem Schreiben, nicht davor.
- Wer gibt eine Reaktion wie das Isolieren frei?
- Eine Person fordert die Aktion in SecTepe.Core an, eine zweite gibt sie frei. Erst dann führt SecTepe.Comm sie auf dem Gerät aus. Die einzige Ausnahme ist der Ransomware-Guard: Er darf einen Prozess sofort beenden, wenn Sie das pro Host so einstellen. Das Aufheben einer Isolation braucht wieder eine Freigabe.
- Gibt es SecTepe Endpoint als Managed EDR?
- Sie können die Plattform selbst betreiben oder mit unserem Security Operations Center kombinieren. Das SOC bewertet dann die Alarme und reagiert im vertraglich vereinbarten Rahmen. Das SOC arbeitet herstellerunabhängig, es setzt SecTepe Endpoint also nicht voraus.
- Welche Betriebssysteme werden unterstützt?
- Windows und Linux (Debian, Ubuntu, RHEL-Familie, SLES; x86_64 und aarch64) mit dem vollen Agent-Bundle. Für macOS ab Version 13 gibt es bisher nur Prozess-Telemetrie. Android und iOS deckt ein Sensor in der SecTepe-App ab, Reaktionen laufen dort als MDM-Befehle.
- Wo liegen die Daten?
- Die Agenten senden ihre Telemetrie per mTLS an den Wazuh-Manager in Ihrer SecTepe.Comm-Umgebung. Von dort gehen Alarme an SecTepe.Core. Mobilgeräte liefern nur Geräte- und App-Metadaten, keine Mails, Nachrichten, Fotos oder Standortdaten.
SecTepe Endpoint in Ihrer Umgebung testen
In einer Demo zeigen wir Ihnen Telemetrie, Detections und den Freigabeweg.
So arbeiten wir mit Ihnen zusammen
Wir sehen jedes Projekt als langfristige Partnerschaft, nicht als einmalige Lieferung. Unser Vorgehen hat vier klare Phasen. So wissen Sie immer, was als Nächstes passiert, wer wofür zuständig ist und welche Ergebnisse Sie erwarten.
1. Kostenloses Erstgespräch
Wir lernen Ihre Ausgangslage, Ihre Ziele und Ihre Rahmenbedingungen kennen. In 30 bis 45 Minuten prüfen wir, ob unsere Leistung zu Ihnen passt. Wir zeigen mögliche Wege auf und beantworten Ihre Fragen.
2. Strukturiertes Assessment
Wir erfassen den Ist-Zustand: technisch, organisatorisch und regulatorisch. Sie erhalten eine priorisierte Bewertung mit Stärken, Lücken und Handlungsfeldern. Sie ist die Grundlage für ein belastbares Angebot.
3. Umsetzung mit festem Ansprechpartner
Ein erfahrener Projektleiter führt Sie durch die Umsetzung. Es gibt klare Meilensteine, eine transparente Zeit- und Kostenplanung und einen wöchentlichen Status. Alle Ergebnisse werden dokumentiert und gehören Ihnen.
4. Kontinuierlicher Betrieb & Review
Nach dem Projekt begleiten wir Sie im Betrieb. Dazu gehören Managed Services, regelmäßige Reviews und die Verfolgung offener Maßnahmen. Wir melden uns auch von uns aus bei neuen Bedrohungen, neuen Vorgaben oder Technologiewechseln.